I. Cele i zakres szkolenia.
1. Nowelizacja ustawy o zarządzaniu kryzysowym – przyczyny i kierunki zmian.
2. Wdrożenie dyrektywy CER 2022/2557 w sprawie odporności podmiotów krytycznych.
3. Powiązania ustawy o zarządzaniu kryzysowym z:
o ustawą o ochronie informacji niejawnych,
o ustawą o krajowym systemie cyberbezpieczeństwa,
o przepisami dotyczącymi ochrony ludności i obrony cywilnej,
o regulacjami dotyczącymi ciągłości działania i ochrony obiektów.
II. Nowy system zarządzania kryzysowego
1. Najważniejsze pojęcia ustawowe:
o sytuacja kryzysowa,
o ryzyko,
o ocena ryzyka,
o zarządzanie ryzykiem,
o infrastruktura krytyczna,
o usługa kluczowa,
o operator infrastruktury krytycznej,
o podmiot krytyczny.
2. Krajowa Ocena Ryzyka – zakres, znaczenie i cykl aktualizacji.
3. Krajowa Strategia Odporności Podmiotów Krytycznych.
4. Zmiany w systemie dokumentów strategicznych.
5. Nowa konstrukcja planów zarządzania kryzysowego:
o plany zarządzania ryzykiem,
o plany reagowania kryzysowego,
o zasady współpracy podmiotów,
o siatka bezpieczeństwa,
o moduły zadaniowe,
o monitorowanie zagrożeń, ostrzeganie i alarmowanie,
o procedury reagowania i odbudowy.
6. Terminy opracowania i aktualizacji dokumentów.
III. Operator infrastruktury krytycznej – identyfikacja i obowiązki
1. Zasady identyfikacji infrastruktury krytycznej.
2. Wykaz infrastruktury krytycznej i zawiadomienie operatora.
3. Kryteria sektorowe i przekrojowe.
4. Podstawowe obowiązki operatora infrastruktury krytycznej:
o systematyczna analiza zagrożeń,
o bezpieczeństwo fizyczne i techniczne,
o bezpieczeństwo osobowe,
o cyberbezpieczeństwo,
o bezpieczeństwo prawne,
o ciągłość działania i odtwarzanie,
o współpraca z organami, służbami, strażami i inspekcjami,
o zapewnienie zdolności do ochrony informacji niejawnych.
5. Dokumentacja ochrony infrastruktury krytycznej:
o charakterystyka infrastruktury,
o analiza zagrożeń,
o opis wdrożonych zabezpieczeń,
o zasoby rezerwowe,
o procedury reagowania,
o procedury zapewnienia ciągłości działania,
o procedury odtwarzania infrastruktury.
6. Raport o stanie ochrony infrastruktury krytycznej.
7. Koordynator ochrony infrastruktury krytycznej – wyznaczenie, kwalifikacje i zadania.
8. Najważniejsze terminy ustawowe: 30 dni, 6 miesięcy, 15 miesięcy oraz raportowanie do 31 marca.
IV. Podmiot krytyczny i zintegrowany system zarządzania bezpieczeństwem
1. Zasady identyfikacji podmiotu krytycznego i usługi kluczowej.
2. Relacja pomiędzy podmiotem krytycznym a operatorem infrastruktury krytycznej.
3. Obowiązek wdrożenia zintegrowanego systemu zarządzania bezpieczeństwem.
4. Ocena ryzyka podmiotu krytycznego.
5. Środki zwiększające odporność podmiotu:
o zapobieganie incydentom,
o ochrona fizyczna i techniczna,
o reagowanie na incydenty,
o ograniczanie skutków zdarzeń,
o odtwarzanie zdolności świadczenia usług,
o bezpieczeństwo pracowników i dostawców,
o zarządzanie łańcuchem dostaw.
6. Zgłaszanie incydentów i zasady wymiany informacji.
7. Audyty bezpieczeństwa i ocena skuteczności zastosowanych zabezpieczeń.
8. Pełnomocnik bezpieczeństwa usługi kluczowej – status, kwalifikacje i zadania.
9. Obowiązki szkoleniowe podmiotu krytycznego.
10. Nadzór, kontrola i odpowiedzialność za niewykonanie obowiązków.
V. Ochrona informacji niejawnych w zarządzaniu kryzysowym
1. Zdolność do ochrony informacji niejawnych jako obowiązek ustawowy.
2. Dokumenty i informacje podlegające ochronie.
3. Niejawny charakter wybranych wykazów, analiz, planów i raportów.
4. Klauzule tajności:
o „ściśle tajne”,
o „tajne”,
o „poufne”,
o „zastrzeżone”.
5. Zasady nadawania, zmiany i znoszenia klauzul tajności.
6. Warunki dostępu do informacji niejawnych:
o zasada wiedzy niezbędnej,
o upoważnienie kierownika jednostki,
o poświadczenie bezpieczeństwa,
o odbycie właściwego szkolenia.
7. Organizacja systemu ochrony informacji niejawnych:
o kierownik jednostki organizacyjnej,
o pełnomocnik ochrony,
o pion ochrony,
o kancelaria niejawna,
o administrator systemu teleinformatycznego,
o inspektor bezpieczeństwa teleinformatycznego.
8. Bezpieczeństwo osobowe, fizyczne, organizacyjne i teleinformatyczne.
9. Strefy ochronne, kontrola dostępu, zabezpieczenia techniczne i zasady przechowywania dokumentów.
10. Obowiązki usługodawców i wykonawców posiadających dostęp do informacji niejawnych.
VI. Dokumentacja i przygotowanie organizacji do kontroli
1. Dokumentacja wynikająca z ustawy o zarządzaniu kryzysowym:
o analiza zagrożeń,
o ocena ryzyka,
o dokumentacja ochrony infrastruktury krytycznej,
o dokumentacja zintegrowanego systemu zarządzania bezpieczeństwem,
o procedury reagowania, ciągłości działania i odtwarzania,
o raporty i dokumentacja incydentów.
2. Dokumentacja ochrony informacji niejawnych:
o plan ochrony informacji niejawnych,
o instrukcja przetwarzania informacji o klauzuli „zastrzeżone”,
o dokumentacja określająca poziom zagrożeń,
o procedury zarządzania kluczami i kodami dostępu,
o plany awaryjne,
o Szczególne Wymagania Bezpieczeństwa – SWB,
o Procedury Bezpiecznej Eksploatacji – PBE.
3. Akredytacja systemów teleinformatycznych.
4. Kontrole wewnętrzne i zewnętrzne.
5. Najczęściej występujące braki i nieprawidłowości.
6. Praktyczna lista działań przygotowujących organizację do realizacji nowych obowiązków.